Falha grave no PHP ameaça tirar milhares de sites do ar nesta quarta

Vulnerabilidades graves na linguagem PHP colocam mais de 1,3 milhão de servidores e sites WordPress sob risco de invasão imediata

Duas falhas críticas de segurança no PHP podem possibilitar que criminosos executem comandos nos servidores e obtenham acesso a informações confidenciais. Uma atualização para corrigir os problemas está prevista para esta terça-feira (21). No entanto, administradores que não conseguirem aplicar o reparo dentro do prazo talvez precisem limitar o acesso aos sistemas afetados.

As vulnerabilidades receberam pontuação de 9,2 em uma escala de gravidade que vai até 10 e podem comprometer versões do PHP desde a edição 5. Especialistas já identificaram tentativas de exploração e alertam para a possibilidade de um aumento nos ataques após a divulgação das correções.

Falhas permitem executar código remotamente
De acordo com a empresa de segurança cibernética watchTowr, as vulnerabilidades possibilitam a execução remota de código (RCE). Na prática, esse tipo de falha permite que invasores enviem e executem comandos em servidores comprometidos, modifiquem páginas de sites e obtenham dados confidenciais.

O lançamento da atualização está programado para as 11h, pelo horário de Brasília. No entanto, os desenvolvedores poderão disponibilizar a correção antes do previsto se informações detalhadas sobre as falhas forem divulgadas ou surgirem indícios de ataques em andamento. A orientação é instalar o pacote de segurança assim que ele for liberado.

A situação também gera preocupação entre administradores de sites que utilizam WordPress. Um pesquisador calcula que mais de 1,3 milhão de servidores conectados à internet possam estar sujeitos às vulnerabilidades. A empresa Wordfence afirma que todos os sites da plataforma podem estar expostos, já que dependem de servidores que utilizam PHP. No ano passado, o WordPress informou que sua tecnologia era utilizada por mais de 40% dos sites da internet.

A aplicação da correção exige cuidados adicionais, pois ela não pode ser feita por meio das atualizações automáticas do WordPress. Os responsáveis pelos sites precisam identificar quem gerencia o serviço de hospedagem e providenciar a atualização diretamente no ambiente PHP.

Enquanto o pacote não é aplicado, administradores devem priorizar algumas medidas:

• Verificar se o provedor de hospedagem já disponibilizou orientações específicas sobre a vulnerabilidade.
  
• Restringir o acesso administrativo aos servidores e às aplicações expostas.
  
• Acompanhar os comunicados oficiais dos desenvolvedores do PHP para confirmar a disponibilidade da correção.

Ataques já começaram a aparecer
Diante dos obstáculos para atualizar os sistemas rapidamente, órgãos de cibersegurança da União Europeia e do Reino Unido orientaram empresas a restringir o acesso a aplicações conectadas à internet ou retirá-las temporariamente do ar. A recomendação tem como objetivo diminuir os riscos até que a correção possa ser aplicada. O GrapheneOS já adotou essa abordagem e suspendeu seu fórum de discussões para evitar possíveis ataques durante a criação de provas de conceito que demonstrem como explorar as vulnerabilidades.

A preocupação aumentou com os indícios de que as falhas já estão sendo exploradas. A empresa de segurança Sansec prevê uma onda de ataques em larga escala poucos minutos depois da publicação da correção, enquanto a Cloudflare afirma ter identificado tentativas de exploração. Dane Knecht, diretor de tecnologia da companhia, declarou: “Estamos vendo os primeiros ataques surgirem”. Como medida temporária de proteção, a empresa está modificando as regras de seu firewall para bloquear essas investidas até que a atualização seja disponibilizada.

Essas medidas, entretanto, não substituem a correção definitiva. Gina Peter Banyard, desenvolvedora do PHP, ressaltou que instalar a atualização é a única maneira de solucionar a vulnerabilidade. Caso isso não seja possível, desligar os servidores “pode ser a decisão mais sensata”. Dessa forma, os administradores devem acompanhar os avisos oficiais dos desenvolvedores e aplicar o pacote de segurança assim que ele estiver disponível. Enquanto não houver outra forma eficaz de reduzir os riscos, os sistemas expostos devem permanecer temporariamente indisponíveis.

Fonte: Olhar Digital